Hlášení zranitelností
Našli jste bezpečnostní chybu v aplikaci aloo nebo na našich serverech? Napište na security@talkey.com.
Co nám poslat
- produkt, verzi aplikace (najdete ji v Nastavení) a operační systém,
- popis chyby a postup, jak ji zopakovat,
- jaký dopad podle vás má,
- jak vás můžeme kontaktovat.
Pište česky nebo anglicky. Hlášení nemusí být úplné, raději dřív než dokonale. Snímky obrazovky a ukázkový kód přiložte jako přílohu; skutečná data jiných uživatelů neposílejte.
Co uděláme my
- Příjem potvrdíme do 3 pracovních dnů.
- Do 10 pracovních dnů vám sdělíme, jak chybu hodnotíme a jak budeme postupovat.
- O opravě vás budeme průběžně informovat.
- Opravu vydáme v nejbližší aktualizaci, kritické chyby přednostně.
- Po vydání opravy zveřejníme bezpečnostní zprávu. Pokud budete chtít, uvedeme v ní vaše jméno.
- Aktivně zneužívanou zranitelnost a závažný incident hlásíme podle nařízení (EU) 2024/2847 (Cyber Resilience Act) národnímu týmu CSIRT a agentuře ENISA.
Prosíme vás
- Nezveřejňujte podrobnosti, dokud nevydáme opravu. Pokud se nedohodneme jinak, nejdéle 90 dní od nahlášení.
- Zkoušejte jen na vlastním účtu a vlastních datech. Na cizí data nesahejte; když na ně narazíte, přestaňte a napište nám.
- Nezatěžujte servery (žádné DoS), neposílejte spam a nezkoušejte sociální inženýrství na naše zaměstnance ani zákazníky.
Výzkum v dobré víře
Pokud budete postupovat v dobré víře a podle těchto zásad, nebudeme proti vám kvůli tomuto výzkumu podnikat právní kroky.
Za nahlášení zatím nevyplácíme odměny.
Na co se zásady vztahují
- aplikace aloo pro iOS a Android,
- servery a webové služby, které aloo používá, v doménách talkey.com a aloo.cz, včetně webu aloo.cz.
Nevztahují se na služby třetích stran (App Store, Google Play, poštovní servery, Firebase) a na výsledky automatických skenerů, u kterých jste neověřili skutečný dopad.
Podpora a aktualizace
aloo dostává bezpečnostní aktualizace na iOS i Androidu nejméně do prosince 2031. Opravené zranitelnosti uvádíme v bezpečnostních zprávách.